Tự Cung Cấp Khóa (BYOK)

Bring Your Own Key (BYOK) chạy các lệnh gọi mô hình AI phía sau phản hồi của agent trên thông tin xác thực AWS Bedrock hoặc Anthropic của bạn thay vì tín dụng nền tảng. Owner của tổ chức thiết lập một lần trong Admin Settings → BYOK, và mọi workspace trong tổ chức đều dùng khóa đó.

Tại sao dùng BYOK

Chi phí của bạn. Lệnh gọi mô hình trên khóa của bạn tính vào tài khoản AWS hoặc Anthropic, không tính vào tín dụng CloudThinker.
Hạn mức của bạn. Giới hạn của nhà cung cấp được áp dụng, không phải giới hạn tín dụng nền tảng.
Bạn chọn mô hình. Chọn mô hình cho từng chế độ và module, hoặc giữ mặc định.
Lưu trú dữ liệu trên Bedrock. Chọn một vùng AWS để giữ suy luận trong US, EU hoặc châu Á - Thái Bình Dương.

Điều kiện tiên quyết

Gói Scale, Scale+ hoặc Enterprise. Xem Bảng giá & Gói dịch vụ.
Vai trò Owner trong tổ chức. Admin và thành viên khác thấy trạng thái khóa nhưng không thấy thông tin xác thực.
Một trong hai loại thông tin xác thực:
- Access key AWS IAM có quyền invoke Bedrock. Xem phần Chuẩn bị AWS Bedrock bên dưới.
- API key Anthropic Console. Khóa bắt đầu bằng sk-ant.

Mô hình được hỗ trợ

Khóa của bạn chạy các mô hình sau. CloudThinker chọn mặc định cho từng hàng, và bạn có thể thay đổi. Dấu gạch ngang nghĩa là nhà cung cấp không cung cấp mô hình đó qua BYOK.

Mô hình	ID mô hình Bedrock	ID mô hình Anthropic	Mặc định cho
Claude Opus 5.5	`anthropic.claude-opus-5-5`	—	—
Claude Opus 5	`anthropic.claude-opus-5`	`claude-opus-5`	Ultra, Review, Cyber
Claude Opus 4.8	`anthropic.claude-opus-4-8`	—	—
Claude Opus 4.7	`anthropic.claude-opus-4-7`	—	—
Claude Opus 4.6	`anthropic.claude-opus-4-6-v1`	—	—
Claude Sonnet 5	`anthropic.claude-sonnet-5`	`claude-sonnet-5`	Pro, Resolve
Claude Sonnet 4.6	`anthropic.claude-sonnet-4-6`	—	—
Claude Haiku 4.5	`anthropic.claude-haiku-4-5-20251001-v1:0`	`claude-haiku-4-5-20251001`	Light
GPT-6 Sol	`openai.gpt-6-sol`	—	—
GPT-6 Luna	`openai.gpt-6-luna`	—	—
GPT-5.6 Sol	`openai.gpt-5.6-sol`	—	—
GPT-5.6 Terra	`openai.gpt-5.6-terra`	—	—
GPT-5.6 Luna	`openai.gpt-5.6-luna`	—	—

Trên Bedrock, Claude Opus 4.6, 4.7, 4.8 và 5.5 cùng Claude Sonnet 4.6 chạy với vùng Global (recommended) hoặc với một vùng US, Canada hay EU. Chúng không khả dụng với vùng châu Á - Thái Bình Dương. Các mô hình GPT chạy trên endpoint tương thích OpenAI của Bedrock và không tuân theo Region bạn chọn. GPT-6 Sol và Luna luôn dùng profile Global của chúng. GPT-5.6 chạy tại us-east-1, us-east-2 hoặc us-west-2, và khóa đặt ở bất kỳ vùng nào khác sẽ gửi lệnh gọi GPT-5.6 đến us-east-1.

Nếu dữ liệu của bạn phải ở trong EU hoặc châu Á - Thái Bình Dương, đừng chọn mô hình GPT. Yêu cầu của nó có thể rời khỏi khu vực địa lý đó.

Bạn chọn mô hình cho sáu hàng: ba chế độ chat Light, Pro, Ultra, và ba module Review, Cyber, Resolve. Review conventions theo hàng Review, và Cyber chat theo hàng Cyber. Hàng đặt thành CloudThinker credits chạy trên nền tảng thay vì khóa của bạn.

Chuẩn bị AWS Bedrock

Bỏ qua phần này nếu bạn dùng API key Anthropic.

Bật các mô hình trong Bedrock

Mở Amazon Bedrock trong AWS Console. Nếu Bedrock yêu cầu biểu mẫu use case của Anthropic, hãy gửi một lần cho tài khoản AWS. Xem tài liệu truy cập mô hình của AWS. Với các mô hình GPT, xem Mô hình OpenAI trong Amazon Bedrock.

Tạo IAM user và policy

Tạo user và gắn policy cho phép Bedrock invoke các mô hình. Bỏ các ARN openai và câu lệnh bedrock-mantle nếu bạn không chọn mô hình GPT nào.

aws iam create-user --user-name bedrock-byok-user

cat > bedrock-policy.json << 'EOF'
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock:InvokeModel",
        "bedrock:InvokeModelWithResponseStream"
      ],
      "Resource": [
        "arn:aws:bedrock:*::foundation-model/anthropic.claude-*",
        "arn:aws:bedrock:*:*:inference-profile/*.anthropic.claude-*",
        "arn:aws:bedrock:*::foundation-model/openai.*",
        "arn:aws:bedrock:*:*:inference-profile/global.openai.*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": ["bedrock-mantle:CreateInference"],
      "Resource": "arn:aws:bedrock-mantle:*:*:project/*"
    },
    {
      "Effect": "Allow",
      "Action": ["sts:GetSessionToken"],
      "Resource": "*"
    }
  ]
}
EOF

aws iam put-user-policy \
  --user-name bedrock-byok-user \
  --policy-name BedrockInvokePolicy \
  --policy-document file://bedrock-policy.json

Các lệnh này cần một AWS profile có quyền iam:CreateUser và iam:PutUserPolicy.

Tạo access key

aws iam create-access-key --user-name bedrock-byok-user

Lưu AccessKeyId và SecretAccessKey từ kết quả. Bạn nhập chúng vào CloudThinker.

Wildcard anthropic.claude-* bao gồm cả các mô hình CloudThinker thêm sau này. Để policy chặt hơn, liệt kê từng ID mô hình trong bảng mô hình được hỗ trợ. Thêm cả từng inference profile, ví dụ us.anthropic.claude-opus-5.

Kết nối khóa của bạn

Mở cài đặt BYOK

Vào Admin Settings → BYOK.

Chọn nhà cung cấp

Trong Step 1 Provider, chọn AWS Bedrock hoặc Anthropic.

Nhập thông tin xác thực

Điền Step 2 Credentials.

AWS Bedrock
Anthropic

Access key ID: khóa AKIA cho khóa cố định, hoặc khóa ASIA cho khóa tạm thời.
Secret access key: secret của khóa đó.
Session token: chỉ bắt buộc với khóa tạm thời ASIA.
Region: giữ Global (recommended), hoặc chọn một vùng AWS. Xem phần Chọn vùng Bedrock bên dưới.

API key: khóa Anthropic Console bắt đầu bằng sk-ant.
Base URL: chỉ đặt khi khóa của bạn chạy qua gateway. URL phải là địa chỉ công khai.

Xem lại mô hình

Step 3 Models on your key hiển thị mô hình của từng hàng. Nhấp Customize models để đổi một hàng, hoặc đặt hàng đó thành CloudThinker credits. Ít nhất một hàng phải chạy trên khóa của bạn.

Xác minh và kích hoạt

Nhấp Verify and activate. CloudThinker gửi một lệnh gọi thử ngắn tới từng mô hình bạn chọn, rồi lưu khóa.Trạng thái thành công: thẻ khóa hiển thị Active, gợi ý khóa, vùng và mô hình của từng hàng.

CloudThinker mã hóa thông tin xác thực khi lưu trữ. Trình duyệt không bao giờ nhận lại secret đã lưu.

Chọn vùng Bedrock

Region bạn chọn quyết định inference profile của Bedrock. Bedrock có thể phục vụ yêu cầu từ bất kỳ vùng AWS nào trong profile đó.

Vùng bạn chọn	Inference profile	Nơi Bedrock phục vụ yêu cầu
Global (recommended)	`global.`	Bất kỳ vùng AWS thương mại nào
Vùng US hoặc Canada, ví dụ `us-east-1`	`us.`	Các vùng US
Vùng EU, ví dụ `eu-west-1`	`eu.`	Các vùng EU
Vùng châu Á - Thái Bình Dương, ví dụ `ap-southeast-1`	`apac.`	Các vùng châu Á - Thái Bình Dương, cho các mô hình Bedrock cung cấp ở đó
South America (Sao Paulo)	`global.`	Bất kỳ vùng AWS thương mại nào

Chọn một vùng cụ thể khi dữ liệu phải ở trong một khu vực địa lý. Sao Paulo không có profile theo khu vực, nên dùng profile Global. Các mô hình GPT không tuân theo vùng. Xem Mô hình được hỗ trợ.

Quản lý khóa

Thẻ khóa hiển thị nhà cung cấp, trạng thái, gợi ý khóa, vùng và thời điểm xác minh gần nhất.

Thao tác	Tác dụng
Rotate key	Thay thông tin xác thực. CloudThinker xác minh khóa mới, giữ lựa chọn mô hình và kích hoạt khóa.
Edit models	Đổi mô hình của từng hàng, rồi nhấp Verify and save.
Re-verify	Kiểm tra lại khóa đã lưu.
Pause / Activate	Dừng hoặc chạy lại lệnh gọi mô hình trên khóa của bạn. Khóa tạm dừng vẫn giữ thông tin xác thực.
Remove	Xóa khóa. Mọi lượt chat quay về tín dụng CloudThinker.

Thẻ hiển thị một trong bốn trạng thái: Active, Saved, paused, Key expired hoặc Disabled after error. Mỗi lúc chỉ một nhà cung cấp hoạt động. Để đổi nhà cung cấp, hãy xóa khóa và kết nối nhà cung cấp còn lại.

Cách hoạt động

Một khóa cho cả tổ chức. Mọi workspace và thành viên dùng khóa của Owner.
Huy hiệu “Your key”. Trong chat, huy hiệu Your key đánh dấu lượt chạy trên khóa của bạn và không tiêu tín dụng.
Session token. Với khóa cố định AKIA, CloudThinker tự gia hạn session token. Khóa tạm thời ASIA không gia hạn được, nên hãy xoay vòng trước khi hết hạn.
Dự phòng. Khi lệnh gọi trên khóa của bạn vẫn lỗi sau khi thử lại, CloudThinker chạy lệnh gọi đó trên mô hình nền tảng bằng thông tin xác thực nền tảng. Lệnh gọi dự phòng tiêu tín dụng nền tảng.
Nội dung mỗi lệnh gọi gửi đi. Lệnh gọi gửi system prompt của agent, định nghĩa công cụ, lịch sử hội thoại và ngữ cảnh được truy xuất. CloudThinker thay secret đã biết và thông tin định danh cá nhân phát hiện được bằng placeholder trước khi gửi.

Tự động tắt khi lỗi thông tin xác thực

Khi nhà cung cấp từ chối thông tin xác thực, CloudThinker tắt BYOK. Ví dụ: session token hết hạn, access key bị thu hồi, hoặc lỗi access denied. Agent tiếp tục làm việc trên tín dụng nền tảng cho đến khi bạn khôi phục khóa. Bạn nhận một thông báo mức nghiêm trọng cao tên BYOK Credentials Error — AWS Bedrock Auto-Disabled hoặc BYOK Credentials Error — Anthropic Auto-Disabled. Thông báo nêu mã lỗi của nhà cung cấp. Thẻ khóa hiển thị Disabled after error và cùng mã lỗi. Để khôi phục BYOK, nhấp Rotate key, nhập thông tin xác thực hợp lệ và nhấp Verify and save.

Khắc phục sự cố

Xác minh thất bại

Đọc lỗi dưới nút. Lỗi hiển thị thông báo của nhà cung cấp và mô hình bị lỗi.
Với Bedrock, xác nhận biểu mẫu use case của Anthropic đã được duyệt cho tài khoản AWS.
Xác nhận IAM policy bao gồm mô hình và inference profile của vùng bạn chọn.
Với mô hình GPT, xác nhận policy cho phép bedrock-mantle:CreateInference.
Đặt hàng không phục vụ được thành CloudThinker credits, rồi xác minh lại.

Access denied ở một vùng

Vùng cụ thể dùng inference profile us., eu. hoặc apac..
Xác nhận IAM policy cho phép inference-profile/*.anthropic.claude-*, hoặc profile đó theo tên.
Xác nhận Bedrock phục vụ mô hình ở khu vực đó, hoặc đổi Region sang Global (recommended).
Bedrock không có profile apac. cho các mô hình Claude hiện tại. Với vùng châu Á - Thái Bình Dương, hãy chọn Global (recommended).

Một hàng hiển thị Model retired, pick another

CloudThinker không còn phục vụ mô hình đó trên khóa của bạn.
Nhấp Edit models, chọn mô hình khác cho hàng đó và nhấp Verify and save.

BYOK tự tắt

Nhà cung cấp đã từ chối thông tin xác thực. Xem phần tự động tắt ở trên.
Đọc mã lỗi trên thẻ khóa hoặc trong thông báo.
Nhấp Rotate key và nhập thông tin xác thực hợp lệ.
Khóa tạm thời ASIA sẽ hết hạn. Chuyển sang khóa cố định AKIA để tránh lặp lại.

Lượt chat không có huy hiệu Your key

Xác nhận thẻ khóa hiển thị Active, không phải Saved, paused.
Xác nhận tổ chức dùng gói Scale, Scale+ hoặc Enterprise.
Kiểm tra hàng của chế độ hoặc module chạy trên khóa của bạn, không phải CloudThinker credits.

Liên quan

Bảng giá & Gói dịch vụ

Gói nào bao gồm BYOK

Sử dụng

Theo dõi tín dụng và mức dùng mô hình trong workspace

Thông báo

Nhận cảnh báo khi khóa BYOK ngừng hoạt động

Tổ chức

Agent

Tự động hóa & Tự chủ

Kết nối

Cài đặt nền tảng

Bảo mật

Thanh toán

Tự Cung Cấp Khóa (BYOK)

Tại sao dùng BYOK

Điều kiện tiên quyết

Mô hình được hỗ trợ

Chuẩn bị AWS Bedrock

Kết nối khóa của bạn

Chọn vùng Bedrock

Quản lý khóa

Cách hoạt động

Tự động tắt khi lỗi thông tin xác thực

Khắc phục sự cố

Liên quan

Bảng giá & Gói dịch vụ

Sử dụng

Thông báo

​Tại sao dùng BYOK

​Điều kiện tiên quyết

​Mô hình được hỗ trợ

​Chuẩn bị AWS Bedrock

​Kết nối khóa của bạn

​Chọn vùng Bedrock

​Quản lý khóa

​Cách hoạt động

​Tự động tắt khi lỗi thông tin xác thực

​Khắc phục sự cố

​Liên quan

Bảng giá & Gói dịch vụ

Sử dụng

Thông báo

Tại sao dùng BYOK

Điều kiện tiên quyết

Mô hình được hỗ trợ

Chuẩn bị AWS Bedrock

Kết nối khóa của bạn

Chọn vùng Bedrock

Quản lý khóa

Cách hoạt động

Tự động tắt khi lỗi thông tin xác thực

Khắc phục sự cố

Liên quan